Aktualisiert am 20. Oktober 2026, 20:00 Uhr: Trustbank bestätigt den Abfluss von rund 4,45 Millionen Datensätzen, darunter Namen, Adressen und Telefonnummern.
In Japan hat eines der größten Portale für die beliebte Heimatsteuer Furusato Nōzei ein riesiges Datenleck bestätigt. Der Betreiber Trustbank teilte am Dienstag mit, dass ein Dritter am 17. Oktober unbefugt auf seine Plattform Furusato Choice zugegriffen hat. Dabei seien 4.454.097 Datensätze von Mitgliedern abgeflossen.
Betroffen sind Name, E-Mail-Adresse, Wohnadresse und Telefonnummer. Auch die Passwörter sind abgeflossen, allerdings nicht im Klartext, sondern in umgerechneter Form als sogenannter Hashwert. Dazu kommt der geschätzte Betrag, den man über die Spenden von der Steuer absetzen kann. Kreditkartendaten nennt Trustbank in seiner Liste nicht. Die Zahl der Datensätze könne sich nach weiteren Untersuchungen noch ändern.
Seit Montag offline
Bemerkt hat Trustbank den Angriff erst zwei Tage später. Am Montag, dem 19. Oktober, fielen ungewöhnliche Zugriffe auf, um 15:50 Uhr japanischer Zeit schaltete das Unternehmen den Dienst ab. Seitdem ist Furusato Choice nicht erreichbar. Wann die Seite wieder online geht, steht noch nicht fest.
Wie die Angreifer vorgegangen sind, hat Trustbank noch nicht erklärt. Das Unternehmen untersucht den Vorfall nach eigenen Angaben mit externen Fachleuten. Am Dienstag hat Trustbank ihn der Datenschutzkommission gemeldet, am Mittwoch will es Anzeige bei der Polizei erstatten.
Was Nutzer jetzt tun sollen
Wer bei Furusato Choice dieselbe Kombination aus E-Mail-Adresse und Passwort genutzt hat wie bei anderen Diensten, soll das Passwort dort ändern. Außerdem warnt Trustbank vor verdächtigen Mails, SMS, Anrufen und Briefen. Man solle nicht darauf antworten und keine Links oder Anhänge aus unbekannten Nachrichten öffnen.
Warum das so viele Menschen betrifft
ふるさと納税 (Furusato Nōzei) heißt wörtlich „Heimatsteuer“ und ist in Japan enorm beliebt. Wer mitmacht, spendet an eine Stadt oder Gemeinde seiner Wahl. Den Betrag bekommt man bis zu einer Obergrenze, die vom Einkommen abhängt, bis auf einen Eigenanteil von 2.000 Yen (rund 11 Euro) über die Steuer zurück. Die Kommunen bedanken sich mit Geschenken aus der Region, etwa Rindfleisch, Reis oder Obst. So wird die Spende für viele zu einer Art Einkauf mit Steuervorteil.
Die meisten Spenden laufen über große Onlineportale, und Furusato Choice ist eines der bekanntesten. Laut Trustbank arbeiten über 1.700 Kommunen mit der Plattform zusammen, angeboten werden mehr als 980.000 Dankesgeschenke.
Der Ausfall zieht außerdem Kreise: Auch das Furusato-Nōzei-Angebot von JRE MALL, dem Onlineshop der Bahngesellschaft JR East, kappte am Montag die Datenverbindung zu Furusato Choice. Spenden an Kommunen, die über diese Verbindung laufen, waren dort danach nicht mehr möglich. JR East betont, die eigene Seite sei nicht angegriffen worden.
Nicht die erste Panne
Für Trustbank ist es nicht der erste Vorfall in diesem Monat. Bereits am 5. Oktober hatte das Unternehmen gemeldet, dass bei Spenden über Amazon Pay unter Umständen Angaben anderer Nutzer angezeigt wurden. Betroffen waren möglicherweise 254 Anträge, Ursache war ein technischer Fehler. Einen Zusammenhang mit dem jetzigen Angriff hat das Unternehmen nicht hergestellt.
Der Fall reiht sich in eine ganze Serie ein. Am selben Tag meldete die staatliche Außenhandelsorganisation JETRO, dass sie ihre Website nach einem unbefugten Zugriff vom Netz genommen hat. Am Abend bestätigte zudem der Handelskonzern H2O Retailing, zu dem die Kaufhäuser Hankyu und Hanshin gehören, ein Datenleck mit rund 1,26 Millionen Kundendaten. Ob die Fälle etwas miteinander zu tun haben, ist nicht bekannt.
Welche Organisationen in Japan in diesen Tagen noch angegriffen wurden, darunter ein Warnsystem für Hunderte Kommunen, beschreibt unser Überblick zur Hackerwelle in Japan.
